漏洞概述
ThinkPHP采用面向?qū)ο蟮拈_發(fā)結(jié)構(gòu)和MVC模式，融合了Struts的思想和TagLib（標簽庫）、RoR的ORM映射和ActiveRecord模式，是一款兼容性高、部署簡單的輕量級國產(chǎn)PHP開發(fā)框架。
2018年12月9日，ThinkPHP團隊發(fā)布了版本更新信息，修復一個遠程代碼執(zhí)行漏洞。該漏洞是由于框架對控制器名沒有進行足夠的檢測，導致在沒有開啟強制路由的情況下可遠程執(zhí)行代碼。攻擊者利用該漏洞，可在未經(jīng)授權(quán)的情況下，對目標網(wǎng)站進行遠程命令執(zhí)行攻擊。
漏洞編號
CNVD-2018-24942
漏洞等級
高危
受影響版本
ThinkPHP 5.0—5.1版本
解決方案
目前，ThinkPHP廠商已發(fā)布新版本修復此漏洞，CNVD建議用戶立即升級至最新版本：
https://blog.thinkphp.cn/869075
參考鏈接
https://blog.thinkphp.cn/869075